Une valeur de Request.Path potentiellement dangereuse a été détectée chez le client (*)

Question

Je reçois l'erreur plutôt explicite suivante :

Une valeur Request.Path potentiellement dangereuse a été détectée du client (*).

Le problème est dû à * dans l'URL de la requête :

https://stackoverflow.com/Search/test*/0/1/10/1

Cette URL est utilisée pour peupler une page de recherche où 'test*' est le terme de recherche et le reste de l'URL concerne différents filtres.

Y a-t-il un moyen facile d'autoriser ces caractères spéciaux dans l'URL ? J'ai essayé de modifier le web.config, en vain.

Dois-je encoder / décoder manuellement les caractères spéciaux ? Ou existe-t-il une bonne pratique pour le faire, je préférerais éviter d'utiliser des chaînes de requête - mais cela pourrait être une option.

L'application elle-même est une application webforms c# asp.net qui utilise le routage pour produire le joli URL ci-dessus.

Answer 1

Si vous utilisez .NET 4.0, vous devriez pouvoir autoriser ces URL via le fichier web.config

Remarque, j'ai simplement supprimé l'astérisque (*), la chaîne par défaut d'origine est :

Voir cette question pour plus de détails.

Answer 2

Le caractère * n'est pas autorisé dans le chemin de l'URL, mais il n'y a aucun problème à l'utiliser dans la chaîne de requête :

http://localhost:3286/Search/?q=test*

Il ne s'agit pas d'un problème d'encodage, le caractère * n'a pas de signification spéciale dans une URL, donc il n'importe pas si vous l'encodez ou non. Vous auriez besoin de l'encoder en utilisant un autre schéma, puis de le décoder.

Par exemple en utilisant un caractère arbitraire comme caractère d'échappement :

query = query.Replace("x", "xxx").Replace("y", "xxy").Replace("*", "xyy");

Et décoder :

query = query.Replace("xyy", "*").Replace("xxy", "y").Replace("xxx", "x");

Answer 3

Pour moi, je travaille sur .net 4.5.2 avec web api 2.0, J'ai la même erreur, je l'ai réglée simplement en ajoutant requestPathInvalidCharacters="". Dans requestPathInvalidCharacters, vous devez définir les caractères non autorisés, sinon vous devez supprimer les caractères qui causent ce problème.

     ....

**Remarquez que ce n'est pas une bonne pratique, peut-être qu'une publication avec ce paramètre en tant qu'attribut d'un objet est meilleure ou essayez d'encoder le caractère spécial. -- Après avoir recherché les meilleures pratiques pour la conception d'une API REST, j'ai découvert que pour la recherche, le tri et la pagination, nous devons gérer les paramètres de requête comme ceci

/companies?search=Digital%26Mckinsey

et cela résout le problème lorsque nous encodons & et le remplaçons dans l'URL par %26. De toute façon, sur le serveur, nous recevons le paramètre correct Digital&Mckinsey

ce lien peut aider sur les meilleures pratiques de conception d'une API Web REST https://hackernoon.com/restful-api-designing-guidelines-the-best-practices-60e1d954e7c9

Answer 4

Vous devriez encoder la valeur de la route, puis (si nécessaire) décoder la valeur avant de rechercher.

Answer 5

Pour moi, en tapant l'URL, un utilisateur a accidentellement utilisé un / au lieu d'un ? pour démarrer les paramètres de la requête

par exemple :

url.com/endpoint/parameter=SomeValue&otherparameter=Another+value

qui aurait dû être :

url.com/endpoint?parameter=SomeValue&otherparameter=Another+value